• 정보보호학회지
• /
• 제33권4호
• /
• pp.131-141
• /
• 2023

최근 코로나로 인하여 원격 근무의 증대와 디지털 트랜스포메이션(DX)으로 인한 클라우드 사용의 증가, 그리고 사이버 보안에 있어서의 끊임없는 새로운 공격의 등장과 공격 면(Attack Surface)의 확대가 증가 일로에 있다. 특히 기존 네트워크 중심의 보안 방식인 경계 보안(Perimeter Security) 방식은 새로운 네트워크 환경, 새로운 형태의 근무 형태로 인한 컴퓨팅 환경의 변화, 새로운 형태의 사이버 공격 등의 다양한 공격에 대한 방어 한계 등으로 인하여 새로운 전기를 맞이하고 있다. 즉, 기존 경계 보안의 한계를 보완하기 위한 차세대 보안 개념의 하나인 제로 트러스트 보안 방식이 최근 많은 관심을 끌고 있다. 본 고에서는 제로 트러스트 보안에 대하여, 미국 국립표준기술연구소(NIST)가 발표한 제로 트러스트 아키텍처SP 800-207을 중심으로 제로 트러스트 보안 개념, 등장 배경, 제로 트러스트 기본 구성, 제로 트러스트 도입과 성숙도 모델, 제로 트러스트 아키텍처 접근 방식 등에 대하여 살펴보고자 한다.

• 정보보호학회지
• /
• 제34권3호
• /
• pp.5-12
• /
• 2024

오늘날 보안 패러다임은 경계 기반 보안 체계에서 제로 트러스트로 변화하고 있다. 이에 NIST는 NIST SP 800-207(Zero Trust Architecture)을 발간하며 제로 트러스트 기본 원칙인 7 Tenets를 제시하였다. 하지만 7 Tenets에 대한 구체적인 구현 및 검증 방안이 부재하여, 제로 트러스트 기술 적용 범위를 정하는 데 어려움을 겪고 있다. 이에 본 논문은 제로 트러스트 제품이 제로 트러스트 표준 모델에 부합하는지 검증할 수 있는 NIST 7 Tenets 기반 점검 항목을 제안한다. 점검항목은 총 59개의 문항으로, 필수적으로 요구되는 필수 기능 28개와 선택적으로 요구되는 선택 기능 31개로구성된다. 수립한 내용에 근거하여 5개의 기업 제품을 검증한 결과, 필수 기능을 모두 만족하는 제품은 없었으며 적용된 제로 트러스트 원칙이 상이함을 확인하였다. 이는 본 논문에서 제안한 점검 항목을 통한 제품의 표준 모델 부합성 검증이 가능함을 보여주며, 향후 국가·공공기관에서의 제로 트러스트 사용 및 유연한 국외 제품 도입 시 활용될 것으로 기대한다.

• 정보보호학회지
• /
• 제34권3호
• /
• pp.35-44
• /
• 2024

제로 트러스트 패러다임은 비교적 널리 알려졌지만, 기관과 기업이 제로 트러스트 전환을 위한 정책 수립과 구축 계획을 마련하는 데는 많은 어려움이 있는 상태이다. 본 연구는 이러한 문제를 해결하기 위해, 기관과 기업의 대상 서비스 또는 시스템의 제로 트러스트 전환 계획 수립에 기반이 될 수 있는 제로 트러스트 성숙도 평가 방법론을 제시한다. 또한, 업무중요도를 고려한 제로 트러스트 보안 요구사항 수립과 관련된 핵심 요소별 성숙도 기능에 대해서도 논하고자 한다. 본 연구를 통해 기관과 기업이 효과적인 제로 트러스트 보안 체계와 보안 인프라 구축 및 운영 계획을 수립하는데 도움이 되는 정보를 제공하고자 한다.

• 정보보호학회지
• /
• 제34권3호
• /
• pp.45-51
• /
• 2024

제로트러스트 도입을 검토하고 있는 조직은 제로트러스트를 구성하는 6개 핵심요소에 대한 자신의 성숙도 수준을 측정하여 목표 수준과의 차이를 식별한 후, 목표 성숙도 수준 달성을 위한 제로트러스트 도입계획을 수립하고, 도입 후 목표 성숙도 수준의 달성정도를 정량적으로 확인할 수 있어야 한다. 이를 위한 접근법 또한 제로트러스트의 기본철학(Never Trust, Always Verify)을 준수해야 하므로, 가장 효과적인 방법은 공격자 관점의 침투시험(Penetration Test, 모의해킹)을 도입하는 것이다. 본 연구는 침투시험을 기반으로 제로트러스트 핵심요소별 성숙도를 측정하는 방법과 제로트러스트 도입 전후 보안성 향상 정도를 정량적으로 측정하는 방법을 제시한다.

• 한국정보통신학회논문지
• /
• 제25권12호
• /
• pp.1898-1903
• /
• 2021

최근, 네트워크 확장 및 클라우드 인프라 확장 그리고 코로나 상황에 따른 근무 형태의 변화인 자택근무 및 외부업무로 인한 원격접속의 증가로 외부 공격자의 접근뿐만이 아니라 내부 직원의 업무 접속과 같은 내부에서의 접근을 경계해야 할 필요성이 증가하고 있다. 이로 인해 제로 트러스트라는 새로운 네트워크 보안 모델이 주목받고 있다. 제로 트러스트는 신뢰할 수 있는 네트워크는 존재하지 않는다는 핵심원칙을 가지고 있으며 접근을 허용받기 위해선 먼저 인증을 받아야하며 인증 받은 사용자와 인증된 디바이스로만 데이터 리소스에 접근 할 수 있다는 개념으로 진행된다. 이 논문에서는 이러한 제로 트러스트와 제로 트러스트 아키텍처에 대해 설명하고, 제로 트러스트를 이용하여 다양한 기업에 적용할 수 있는 새로운 보안 적용 전략과 제로 트러스트 아키텍처 모델을 기반으로 하는 새로운 보안체계의 구축 프로세스를 고찰하려 한다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2023년도 제67차 동계학술대회논문집 31권1호
• /
• pp.107-108
• /
• 2023

기업 및 공공기관의 클라우드 서비스 도입이 확산되면서 업무 시스템에 대한 보안 요구사항이 변화하고 있다. 기존에는 보호해야 할 정보자산이 물리적으로 외부와 분리된 내부 공간에 집중되었다면 클라우드 환경에서는 자산의 분포 범위가 넓어지면서 내부와 외부의 경계가 모호해진다. 따라서 경계 기반의 전통적인 보안 방식은 클라우드 기반 업무환경에 적합하지 않으며 정보 서비스를 이용하는 전 주기에서 암묵적인 신뢰를 배제하고 지속적으로 검증을 수행하는 제로 트러스트 기반의 업무 시스템 운영이 필요하다. 본 논문에서는 스토리지 클라우드 서비스인 아마존 웹 서비스 S3(Simple Storage Service)에 대하여 제로 트러스트 모델을 설계하고, 직접 서비스를 운영하며 제안된 제로 트러스트 모델의 안전성을 검증한다. 제로 트러스트 모델은 스토리지에 접근하는 사용자에 대한 인증 및 식별 기술, 스토리지 암호화 기술, 암호화 키 관리 기술을 활용하여 설계하였으며 제로 트러스트 기술 적용 시, 스토리지 보안성이 향상되는 것을 실제 서비스 운영을 통한 실험을 통해 확인하였다.

• 자원환경지질
• /
• 제52권5호
• /
• pp.395-407
• /
• 2019

듀플렉스 시스템(duplex system)은 조산대의 진화에서 슬립을 전달하는 중요한 매커니즘 가운데 하나로 고려되어 왔다. 이들은 일반적으로 습곡-단층대의 후방지(hinterland)에 발달하며, 조산대를 이루는 총 수축의 많은 부분을 수용한다. 그러므로 듀플렉스의 구조기하학 및 키네마틱 진화에 대해 이해하는 것은 전체 조산대의 진화를 평가하는데 있어 중요한 정보를 제공할 수 있다. 듀플렉스는 지질도 상에서 트러스트들에 의한 폐곡선 형태의 단층 자취에 의해 인지되는데, 이들은 인편팬(imbricate fan) 시스템의 경우보다 높은 연결성을 보인다. 원래의 정의에 따르면, 듀플렉스는 바닥트러스트(floor thrust)와 지붕트러스트(roof thrust) 및 이들 사이의 인편상 트러스트(imbricate thrust)들에 의해 사방이 둘러싸인 포로암(horse)들로 구성된다. 이들은 광역적인 지층-평행 수축(layer-parallel shortening)을 수용하며, 바닥트러스트로부터 지붕트러스트로 단층을 따라 발생하는 슬립을 전달하는 역할을 한다. 그러나 인편상 단층이 바닥 및 지붕 트러스트 사이에서 발생하는 지층-평행 수축이나 변위 전달의 유일한 수단은 아니다. 지층-평행 수축 벽개(LPS cleavage)와 분리단층습곡(detachement fold) 또한 동일한 역할을 수행할 수 있다. 이러한 견지에서, 듀플렉스는 1) 단층 듀플렉스, 2) 벽개 듀플렉스, 3) 습곡 듀플렉스의 3가지 유형으로 나눌 수 있다. 단층 듀플렉스는 다시 Boyer-type 듀플렉스와 커넥팅-스플레이(connecting splay) 듀플렉스로 세분된다. 전자는 1980년대에 트러스트시스템의 개념을 적용하여 최초로 정의된 듀플렉스 형태이고, 후자는 듀플렉스 형성 시 포로암들의 발달 순서에 있어 전자의 듀플렉스와 차이를 가진다. 이들 단층 듀플렉스 유형은 전 세계적으로 주요 습곡-단층대의 구조진화 연구에 널리 적용되어왔다. 반면에, 벽개 듀플렉스 및 습곡 듀플렉스는 몇몇의 노두에서 선택적으로 보고된 내용에 기반하여 최근에 새롭게 제안된 듀플렉스 유형이다. 한반도 옥천대 내 태백산 분지 서쪽의 영월지역은 높은 연결성을 보이는 트러스트들에 의한 폐곡선 형태의 단층 자취가 잘 보존되어 있는 곳으로, 국내에서 습곡-단층대 내에서 트러스트시스템에 듀플렉스 모델을 적용시켜 볼 수 있는 최적의 연구지역이다. 이 지역 지질구조에 대한 구조기하학 및 키네마틱스 해석을 바탕으로 영월트러스트시스템은 'Boyer-type 후방지로 경사진 듀플렉스(hinterland-dipping duplex)' 및 '주요 인편상 트러스트와 커넥팅-스플레이로 구성된 듀플렉스(connecting splay duplex)'의 두 가지 모델로 해석된 바 있다. 영월지역 내에 고각의 지층과 트러스트들이 반복되고, 듀플렉스를 구성하는 각 포로암 내에 서로 다른 층서 패키지가 포함되는 등 여러 간접적인 증거들이 후자의 모델을 지지함에도 불구하고, 직접적인 야외 증거나 단층 활동에 대한 시간 정보 등이 부족하기 때문에 두 모델 중 어느 것이 더 적합한지를 판단하기에는 어려움이 따른다. 게다가 최근 새롭게 제안된 습곡 듀플렉스와 벽개 듀플렉스 모델 또한 영월트러스트시스템의 구조 해석에 적용될 수 있는 가능성이 있기 때문에, 향후 영월 및 주변 지역에 대한 추가 야외 지질조사 및 다양한 지구연대학적 연구가 추가적으로 요구된다. 이러한 후속 연구들의 결과는 옥천대의 형성 및 구조진화와 관련된 그간의 난제를 풀 수 있는 중요한 정보를 제공할 수 있을 것으로 기대한다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2021년도 추계학술대회
• /
• pp.443-444
• /
• 2021

정보 서비스에 대한 보안 위협은 갈수록 그 방법이 발전하고 있으며, 보안 위협으로 발생된 빈도와 피해도 증가하고 있다. 특히 조직 내부에서 발생하는 보안 위협이 크게 증가하고 있으며, 그 피해 규모도 크다. 이러한 보안 환경을 개선할 수 있는 방법으로 제로 트러스트 모델이 제안되었다. 제로 트러스트 모델은, 정보 자원에 접근하는 주체를 악의적 공격자로 간주한다. 주체는 식별 및 인증 과정을 통해 검증 후에 정보 자원에 접근할 수 있다. 그러나 초기 제안된 제로 트러스트 모델은 기본적으로 네트워크에 집중하고 있어, 시스템이나 데이터에 대한 보안 환경은 고려하지 않고 있다. 본 연구에서는 기존의 제로 트러스트 모델을 파일 시스템으로 확장한 제로 트러스트 기반 접근통제 메커니즘을 제안하였다. 연구 결과, 제안된 파일 접근통제 메커니즘은 제로 트러스트 모델 구현을 위해 적용될 수 있는 것으로 확인되었다.

• 융합보안논문지
• /
• 제22권3호
• /
• pp.3-11
• /
• 2022

갈수록 정교해지는 사이버 위협, 클라우드 도입의 가속, 코로나19 팬데믹으로 인한 원격 및 하이브리드 근무환경 도입 등으로 인하여 많은 기업이 경계 안에 있는 모든 것을 암묵적으로 신뢰하는 전통적인 보안 모델이 경계가 존재하지 않고 데이터와 사용자가 갈수록 탈중앙화되는 오늘날 환경에 적합하지 않다는 사실이 부각되면서 제로 트러스트라(Zero Trust)는 개념이 갈수록 주목받고 있다. 제로 트러스트는 '아무도 신뢰하지 않는다'는 전제의 사이버 보안 모델로, 전체 시스템에서 안전한 영역 또는 이용자는 전무하다는 것을 원칙으로 내부 이용자도 검증을 거치며, 네트워크 접속 환경에 따른 정보 접근 범위도 차등 및 최소화하는 방안이다. 코로나19 팬데믹으로 인하여 재택근무가 일상화되고, 기존 사이버 보안방안이 한계에 부딪히면서 제로 트러스트(Zero Trust) 기술이 한층 더 주목을 받고 있다. 이에 따라 우리 정부도 NIST 표준을 참고로 제로 트러스트 도입 시 국내 공공 및 민간부문의 수용 가능성 현황, 개선이 필요한 과제 등을 점검할 것으로 예상된다. 이 논문에서는 이러한 제로 트러스트와 제로 트러스트의 기본원리, 철학, 고려사항에 대해 설명하고, 제로 트러스트의 기술을 접목시켜 보안을 강화하는 실무적인 기초 방안에 대하여 제시한다.

• 융합보안논문지
• /
• 제23권4호
• /
• pp.131-139
• /
• 2023

최근 내부자에 의한 국방망 침해사고가 빈번하게 발생하고 있다. 이러한 추세는 현재 우리 국방부가 고수하고 있는 물리적 망 분리정책이 더 이상 안전을 보장할 수 없다는 반증이라 할 수 있다. 따라서 보다 강력한 사이버보안 대책이 필요하다. 이와 관련해 '절대 신뢰하지 말고, 항상 검증하라'는 제로 트러스트가 새로운 보안의 패러다임으로 등장하고 있다. 본 논문은 미 국방부에서 현재 추진중에 있는 제로 트러스트 구축 동향을 분석하고, 이를 통해 도출된 시사점을 바탕으로 한국군 맞춤형 제로트러스트 구축방안을 제안한다. 본 논문이 제안하는 한국군 맞춤형 제로 트러스트 구축방안은 한국군 맞춤형 제로 트러스트 구축전략, 전담조직 편성 및 예산 확보방안, 제로 트러스트 구축기술 확보방안 등을 포함하고 있다. 본 논문에서 제안하는 한국군 맞춤형 제로 트러스트는 기존의 물리적 망 분리 정책에 기반한 사이버보안과 비교해 보안적인 측면에서 다양한 장점을 갖는다.